Teste delt DNS utan å lekke interne namn

Å spørje ein offentleg resolver om eit internt namn lekker namnet og hoppar over regelen du ville teste. Spørjinga når ein tenar du ikkje kontrollerer, svaret kjem frå eit namnerom som ikkje skulle ha sett det, og resultatet seier ingenting om kvarvidt delt DNS verkar. Å teste delt DNS tyder å teste resolverbana ein applikasjon faktisk brukar. Den bana blir vald av operativsystemet, av domenelista i VPN-profilen og nokre gonger av nettlesaren.

Vel to namn og føreseie båe svara først

Be nettverkseigaren om eitt dokumentert internt testnamn, og vel eit vanleg offentleg namn som ikkje seier noko om organisasjonen. Skriv ned kva som bør skje for kvart av dei før du køyrer noko: det interne namnet bør nå resolvaren til tunnelen og returnere ei intern adresse, medan det offentlege namnet bør bli slått opp via resolvaren systemet vanlegvis brukar. Dei to føreseingane er sjølve testen, for utan dei kan eitkvart svar bortforklarast i ettertid. Hald paret fast på tvers av køyringar, slik at ei seinare samanlikning betyr noko.

Kontroller dei faktiske reglane, ikkje dei tiltenkte. Domenelista som er knytt til VPN-tilkoplinga avgjer kva suffiks som går til kva resolver, og ein skrivefeil i den lista gir ei truleg, men feil deling. På ein administrert eining bør du bruke den diagnostiske bana til administratoren, sidan lokale overstyringar kan bli nullstilte av policy ved neste kontroll.

Skriv føreseinga ved sida av det observerte svaret i same saka. Ein test utan føreseie kan ikkje feile, og ein test som ikkje kan feile lærer ingenting.

Test bana applikasjonen brukar, ikkje éin tenar du sjølv valde

Ein kommando som namngir ein resolver eksplisitt, testar den resolvaren og ingenting anna. Han fortel om den interne tenaren svarar, noko som er nyttig, og han fortel ikkje om ein applikasjon sender namnet dit. Test først gjennom den normale bana: slå opp det interne namnet slik ein applikasjon ville gjort, og slå deretter opp det offentlege namnet på same måte. Først etterpå bør du spørje bestemte tenarar for å finne kvar åtferda avvik.

Nettlesarar kompliserer biletet, fordi innstillingar for sikker DNS heilt kan omgå resolvaren til systemet. Ein nettlesar som er konfigurert med sin eigen krypterte resolver, ser aldri delinga, og feilen ser ut som ein øydelagd VPN-profil. Kontroller den innstillinga før du endrar tunnelen.

Gjenta oppslaget etter tilkopling på nytt om spørsmålet er gjenoppretting. Eit svar som er bufre frå før tilkoplinga på nytt kan få ei korrekt gjenoppretta deling til å sjå betre eller verre ut enn ho er.

Registrer svarkategorien, ikkje berre suksess eller fiasko

Skriv ned kva av fire ting som skjedde: ei intern adresse, ei offentleg adresse, eit negativt svar eller ein tidsavbrot. Kvar av dei betyr noko anna. Ei intern adresse for det interne namnet er den forventa suksessen; ei offentleg adresse for eit internt namn tyder på at spørjinga forlét tunnelen; eit negativt svar frå den autoritative tenaren peiker på ein manglande post snarare enn ein rutefeil; og ein tidsavbrot indikerer eit tilgjengeproblem eller ein resolver som aldri fekk spørjinga. Suksess og fiasko er for grove til å handle på.

Ta omsyn til mellomlageret før du tolkar ei manglande fersk spørjing, fordi eit negativt svar i mellomlageret ser identisk ut med eit namn som ikkje finst. Ta vare på svaret før du ryddar noko via støtta kontrollar, sidan det første svaret er provet.

Tolk dei to greinene utan å gjette

Om det interne namnet blir slått opp rett og applikasjonen framleis feilar, gjorde resolvaren jobben sin, og dei neste mistenkte er ruter og løyve på sjølve ressursen. Om det private namnet nådde ein offentleg resolver, blir ikkje delingsregelen brukt på det oppslaget, så gå gjennom domenelista og kvar nettlesarpolicy saman med eigaren av namnerommet. Dei to greinene har ulike eigarar, og difor er det viktigare å registrere kva du såg enn å registrere at noko gjekk i stykker.

Fjern sensitive opplysningar frå delt utdata, men hald på strukturen: kva namnerom, kva regel, kva svarkategori. Eit resolvarsvar kan innehalde interne adresser og vertsnamn, og ei sak er eit varig heim for båe.

Overlever deretter resultatet til eigaren av namnerommet med dei to kategoriane du observerte og namna fjerna. Det er ein samtale på fem minutt i staden for ei veke med gjetting.